Projekte zur Microsoft 365 Härtung scheitern selten an der Technik. Der Grund steht im Gang: ein Multifunktionsdrucker, der Scans per Mail verschickt und das über ein Protokoll tut, das seit Jahren als unsicher gilt.
Die Härtung geht scharf, der Drucker schweigt, die Buchhaltung ruft an. Jemand aus der IT macht eine Ausnahme, damit der Montag weitergeht. Das ist richtig entschieden. Nur steht die Ausnahme zwei Jahre später noch, niemand weiss mehr, wofür sie war, und die Härtung existiert in der Dokumentation, aber nicht im Tenant.
Anbieter verkaufen Härtung als Liste von Einstellungen. Die Liste ist der einfache Teil.
Was in deinem Tenant schon gehärtet ist
Bevor du etwas konfigurierst, lohnt der Blick auf das, was Microsoft von sich aus eingeschaltet hat. Die Funktion heisst Security Defaults, und sie wird laut Microsoft bei allen neuen Tenants bei der Erstellung aktiviert. Wenn euer Tenant am oder nach dem 22. Oktober 2019 entstanden ist, war der Schalter mit hoher Wahrscheinlichkeit von Anfang an an.
Der Schutz reicht weiter als die Anmeldung der Administratoren. Alle Nutzenden müssen sich für Multi-Faktor-Authentifizierung registrieren, die aufgeführten Administratorrollen müssen sie bei jeder Anmeldung durchlaufen, alte Anmeldeprotokolle sind blockiert, und der Zugriff auf das Azure-Portal und das Entra-Admin-Center verlangt einen zweiten Faktor. Seit dem 1. Juli 2026 blockieren alle neuen Tenants zusätzlich den Device-Code-Flow, also den Anmeldeweg über einen Code, den man auf einem zweiten Gerät eintippt.
Microsoft begründet das mit einer eigenen Zahl: über 99,9 Prozent der verbreiteten identitätsbasierten Angriffe würden durch Multi-Faktor-Authentifizierung und das Blockieren alter Anmeldeprotokolle gestoppt. Das ist die Zahl des Herstellers, nicht die eines unabhängigen Instituts, und sie beschreibt die verbreiteten Angriffe, nicht den gezielten. Nützlich ist sie trotzdem, weil sie zeigt, wo der grösste Hebel liegt: bei der Identität, und damit in jedem Abo enthalten.
Die erste Frage einer Härtung ist deshalb eine Prüffrage. Ist diese Grundlage bei euch noch an, und wenn nicht, wer hat sie abgeschaltet und wofür?
Der Fehler, der aus einer Härtung eine Lücke macht
Security Defaults kennen genau zwei Zustände. An oder aus, keine Feinsteuerung. Wer differenzieren will, braucht Conditional Access, und dafür schreibt Microsoft eine klare Reihenfolge vor: Organisationen, die Conditional Access anstelle der Security Defaults einsetzen, müssen die Security Defaults deaktivieren.
Genau an dieser Reihenfolge verlieren Teams den Schutz. Jemand schaltet an einem Donnerstag die Security Defaults aus, baut am selben Tag zwei Richtlinien, und der Rest kommt in die nächste Runde. Diese nächste Runde dauert in unserer Erfahrung Wochen. In der Zwischenzeit ist das Haus schlechter geschützt als vor dem Härtungsprojekt, und niemand merkt es, weil das Projekt im Statusbericht auf grün steht.
Der Weg über Conditional Access ist richtig. Microsoft selbst nennt die Security Defaults eine gute Basis ohne die Anpassbarkeit, die viele Organisationen brauchen. Für den Übergang stellt Microsoft verwaltete Conditional-Access-Richtlinien bereit, die dieselben vier Punkte abdecken: alte Anmeldeprotokolle blockieren, zweiter Faktor für die Azure-Verwaltung, für Administratoren und für alle Nutzenden.
Business-Premium-Kunden bezahlen die Lizenz dafür längst. Microsoft bestätigt in der Business-Premium-FAQ, dass Entra ID P1 in Business Premium enthalten ist, und P1 ist die Stufe, die Conditional Access freischaltet. Welche Lizenzstufe was deckt, steht in Business Premium oder E5. Wie du die Richtlinien im KMU schneidest, steht in Conditional Access im KMU.
Ein Detail gehört erledigt, bevor jemand den Schalter umlegt: Microsoft empfiehlt zwei reine Cloud-Konten mit permanenter Administratorrolle, die keiner bestimmten Person gehören, für den Fall, dass sich alle anderen aussperren. Wer die erst nach dem ersten Aussperren anlegt, legt sie zu spät an.
Der Secure Score ist eine Messung, kein Sollwert
Härtungsgespräche landen irgendwann bei einer Zahl. Der Microsoft Secure Score ist laut Microsoft eine Messung der Sicherheitslage einer Organisation, wobei eine höhere Zahl bedeutet, dass mehr der empfohlenen Massnahmen umgesetzt wurden. Im selben Dokument steht ein zweiter Satz, der in den Angeboten, die wir sehen, selten auftaucht. Der Wert sei kein absolutes Mass dafür, wie wahrscheinlich ein Einbruch in System oder Daten ist, und dürfe in keiner Weise als Garantie gegen eine Sicherheitsverletzung verstanden werden.
Zwei weitere Punkte aus der Dokumentation ändern den Blick auf die Liste. Erstens zeigt Microsoft bewusst alle möglichen Empfehlungen für ein Produkt, unabhängig von Edition, Abo oder Plan. Ein Teil deiner Aufgabenliste gehört damit zu Funktionen, die ihr nicht lizenziert habt. Zweitens hält Microsoft fest, dass Sicherheit mit Benutzbarkeit im Gleichgewicht stehen muss und nicht jede Empfehlung in jeder Umgebung funktioniert.
Die Mechanik dahinter ist schnell erzählt. Jede empfohlene Massnahme ist höchstens zehn Punkte wert, die meisten bewertet Microsoft binär. Bei Teilabdeckung gibt es Teilpunkte, das eigene Beispiel sind fünf von zehn Punkten, wenn 50 von 100 Personen mit Multi-Faktor-Authentifizierung geschützt sind. Dazu kommt ein Vergleich mit ähnlichen Organisationen, und damit die Versuchung, eine fremde Zahl zum eigenen Ziel zu machen.
Das Muster kennst du aus dem IKT-Minimalstandard, der seinen Sollwert ebenfalls verweigert und das Schutzniveau der Organisation überlässt. Eine Zahl eröffnet das Gespräch. Entscheiden muss es jemand bei euch.
Microsoft hat die Ausnahme eingebaut. Besitzen musst du sie.
Im Secure Score steht ein Satz, der die ganze Härtungsdiskussion trägt: wenn du eine empfohlene Massnahme nicht umsetzen kannst oder nicht willst, kannst du das Risiko oder das Restrisiko akzeptieren.
Der Hersteller hat die Ausnahme also vorgesehen. Eine Ausnahme ist ein legitimer Zustand. Dasselbe Muster findest du in Defender for Office 365. Die voreingestellte Richtlinie Built-in Protection greift für alle Nutzenden in Organisationen mit einer beliebigen Anzahl Defender-for-Office-365-Lizenzen. Der Knopf für Abweichungen heisst dort wörtlich Add exclusions (not recommended). Microsoft schreibt die Bewertung gleich auf die Schaltfläche.
Was das Produkt nicht liefern kann, ist die Zuordnung. In unserer Erfahrung entstehen Ausnahmen bei der Person, die gerade am Telefon ist, wenn etwas nicht mehr geht. In den Dokumentationen, die wir danach sehen, taucht die Ausnahme selten auf, in einer Überprüfung fast nie. Drei Angaben reichen, um aus einer stillen Rücknahme eine Entscheidung zu machen: wer die Ausnahme gebraucht hat, wer sie akzeptiert hat, und bis wann sie gilt. Fehlt die dritte, erodiert die Härtung, ohne dass jemand etwas falsch gemacht hat.
Der Punkt dahinter ist unbequem und hat mit Microsoft 365 nichts zu tun. Ein Restrisiko akzeptiert nicht die Person mit den Administratorrechten, sondern die Person, die für den Schaden geradesteht. In vielen KMU ist das dieselbe Person, und genau das löst keine Einstellung. Wenn bei euch niemand diese Entscheide trägt und sie regelmässig nachprüft, ist das die Stelle, an der wir in Mandaten einsteigen: der laufende Betrieb der Sicherheitsarbeit, kein weiteres Konfigurationsprojekt.
Wo Härtung aufhört und ein Migrationsprojekt anfängt
Ein Teil dessen, was unter Härtung läuft, sind geplante Vorhaben mit Budget. Und wenn jemand sie als Einstellung behandelt, entsteht genau die Ausnahme, die am Ende niemandem gehört.
Der Drucker aus dem Gang gehört dazu. Fachanwendungen und Geräte, die über alte Mailprotokolle versenden, verlieren den Zugang, sobald alte Anmeldeprotokolle blockiert sind. Microsoft warnt in der eigenen Dokumentation davor, die Security Defaults einzuschalten, ohne vorher zu prüfen, ob Administratoren noch alte Protokolle nutzen. Die Lösung ist eine Umstellung des Geräts, kein Haken.
Zwei weitere Fälle aus derselben Dokumentation gehen leicht unter. Exchange-Online-Tenants, die vor 2017 entstanden sind, haben moderne Authentifizierung standardmässig deaktiviert. Und die Synchronisationskonten von Entra Connect sind von den Security Defaults ausgenommen, weshalb Microsoft dazuschreibt, dass dieses Konto für nichts anderes verwendet werden soll. Wer es doch tut, betreibt ein Konto mit weitreichenden Rechten und ohne zweiten Faktor.
Dazu kommen zwei Baustellen, die der Tenant gar nicht abdeckt. Das Notebook in der Hand der Nutzenden ist eine eigene Frage, inklusive der unangenehmen Variante, wer es löschen darf. Und die Berechtigungen auf den Daten entscheiden darüber, was ein Assistent sieht, sobald ihr einen anschaltet; das haben wir in M365 Copilot sicher einführen behandelt.
Was du dafür nicht kaufen musst
Die Härtung eines Tenants ist einer der wenigen Bereiche, in denen das Nötige fast vollständig im bestehenden Abo liegt. Vier Positionen kosten trotzdem regelmässig Geld, ohne etwas zu verändern:
- ein Werkzeug, das deinen Tenant bewertet und am Ende den Secure Score vorliest, den das Defender-Portal gratis anzeigt
- ein zweites Produkt für Multi-Faktor-Authentifizierung neben dem, das in Business Premium schon lizenziert ist
- eine Härtungs-Checkliste mit zweihundert Zeilen, die niemandem gehört und deshalb nach dem dritten Anruf aus der Buchhaltung in der Schublade liegt
- ein externes Audit über alle Einstellungen als erster Schritt, bevor geklärt ist, wer Ausnahmen entscheiden darf
Der systematische Weg zu solchen Posten steht in Sicherheitstools konsolidieren. Was Geld wert ist, ist die Stunde, in der jemand festlegt, welche Ausnahmen bleiben und wer sie trägt. Die ist unspektakulär und lässt sich schlecht als Projekt verkaufen.
Zwei Ansichten, die mehr sagen als jede Checkliste
Wenn du wissen willst, wo eure Microsoft 365 Härtung steht, brauchst du keinen Fragebogen. Öffne das Entra-Admin-Center und schau nach, ob die Security Defaults an oder aus sind. Stehen sie auf aus, finde heraus, welche Conditional-Access-Richtlinien sie ersetzt haben und seit wann. Danach öffne den Secure Score und sieh dir die Empfehlungen an, die jemand als akzeptiertes Risiko markiert hat. Steht dort ein Name und ein Datum, ist euer Härtungsstand belegbar. Steht dort nichts, kennst du deine erste Aufgabe, und sie ist keine technische.
Wenn du das einmal gemeinsam durchgehen willst, ohne Tool-Liste und ohne Bewertung von aussen, ist ein erstes Gespräch unverbindlich. Eine Frage interessiert uns dabei selbst: falls bei euch in den letzten zwölf Monaten eine Härtung zurückgedreht wurde, wisst ihr noch, wer das entschieden hat?
Häufige Fragen
Was bedeutet Microsoft 365 Härtung?
Härtung heisst, die Standardeinstellungen eines Tenants enger zu stellen, als sie für maximale Kompatibilität ausgeliefert werden. In der Praxis sind das wenige Entscheide auf der Anmeldeebene, bei den Geräten und bei den Berechtigungen. Der Aufwand liegt nicht im Einschalten, sondern im Umgang mit den Ausnahmen, die danach entstehen.
Sind die Security Defaults in meinem Tenant schon aktiv?
Laut Microsoft werden Security Defaults bei allen neuen Tenants bei der Erstellung aktiviert, und Tenants ab dem 22. Oktober 2019 starten damit. Prüfen kannst du das im Entra-Admin-Center unter den Eigenschaften. Wer Conditional Access einsetzt, muss die Security Defaults deaktivieren, dann ersetzen Richtlinien den Grundschutz.
Brauche ich für die Microsoft 365 Härtung ein zusätzliches Werkzeug?
In den meisten KMU nicht. Der Secure Score steht im Defender-Portal, Conditional Access ist über Entra ID P1 in Microsoft 365 Business Premium enthalten. Geld lohnt sich eher für die Entscheidung, welche Ausnahmen bleiben und wer sie verantwortet, als für ein Werkzeug, das vorhandene Werte ausliest.
